このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。使用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。
概要
証明書署名リクエスト（CSR）が手動で承認されました。クラスタ認証用の証明書の作成は、攻撃者が侵害されたクラスタに永続的にアクセスするための一般的な方法です。証明書に関連付けられる権限は、含まれているサブジェクトによって異なりますが、非常に高い権限が付与される可能性があります。詳細については、このアラートのログ メッセージをご覧ください。
この検出結果のソースは Event Threat Detection です。
顧客への対処方法
次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。
この検出結果に対応する手順は次のとおりです。
- Cloud Logging の監査ログと、他の CSR 関連イベントに関する追加のアラートを確認し、CSR 関連アクションがプリンシパルによる想定されたアクションであるかどうかを判断します。
- Cloud Logging で監査ログを参照して、プリンシパルによる悪意のあるアクティビティを示す徴候が他にないか判断します。例:
- CSR を承認したプリンシパルが、CSR を作成したプリンシパルとは異なるか。
- CSR で組み込みの署名者が指定されたが、署名者の基準を満たしていなかったために、最終的に手動で承認する必要があったか。
- プリンシパルが他の CSR のリクエスト、作成、承認、削除を試みたか。
- CSR 承認が想定されていなかった場合、または悪意のあるものであると判断された場合、証明書を無効にするにはクラスタで認証情報のローテーションが必要になります。クラスタ認証情報のローテーションの実行に関するガイダンスを確認してください。
次のステップ
- Security Command Center で脅威の検出結果を操作する方法を学習する。
- 脅威の検出結果のインデックスを確認する。
- Google Cloud コンソールで検出結果を確認する方法を学習する。
- 脅威の検出結果を生成するサービスについて学習する。